Veri İşleme Sözleşmesi

Bu Veri İşleme Sözleşmesi ("DPA"), müşteri (LetsBot'a abone olan işletme, "siz") ile İngiltere ve Galler'de 15477940 numarasıyla kayıtlı, 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Birleşik Krallık adresinde bulunan BOT FOR DIGITAL SOLUTIONS LIMITED ("LetsBot", "biz") arasındaki Şartlar ve Koşullar'ın bir parçasıdır.

Şartlar ve Koşullar'ı kabul ederek, Ek IV ila VI'da atıf yoluyla dahil edilen aktarım hükümleri de dahil olmak üzere bu DPA'yı da akdetmiş olursunuz. Bunlar, herhangi bir Müşteri Kişisel Verisi aktarılmadan önce, kabul anından itibaren her müşteriye otomatik olarak uygulanır ve imza gerekmez.

İmzalı kopyalar ve özel belgeler. support@letsbot.net adresine talepte bulunmanız hâlinde, bu DPA'nın tarafımızca karşı imzalanmış bir kopyasını veya kuruluşunuzun ihtiyaç duyduğu, doldurulmuş bir aktarım hükümleri seti gibi özel bir sözleşme ya da belgeyi sağlarız.

Öncelik sırası. Bir çelişki olması hâlinde önce Ek IV ila VI'daki aktarım hükümleri, ardından bu DPA, ardından Şartlar ve Koşullar geçerli olur.

Dil. Bu DPA'nın İngilizce sürümü esas alınır; Arapça sürüm kolaylık amacıyla sunulmaktadır. Brezilya ANPD standart hükümleri için resmi Portekizce metin esas alınır.

• Müşteri Kişisel Verileri: hizmeti sunarken sizin adınıza işlediğimiz, kişilerinizin bilgileri, mesajlar, medya ve siparişler dahil kişisel veriler. Ayrıntılar Ek I'dedir.
• Alt işleyen: Müşteri Kişisel Verilerini işlemek için görevlendirdiğimiz herhangi bir üçüncü taraf.
• Kişisel Veri İhlali: Müşteri Kişisel Verilerinin kazara veya hukuka aykırı olarak yok edilmesine, kaybolmasına, değiştirilmesine, yetkisiz olarak ifşa edilmesine veya bunlara yetkisiz erişilmesine yol açan bir güvenlik ihlali.
• Veri Koruma Mevzuatı: AB GDPR, UK GDPR ve Data Protection Act 2018 (Veri Koruma Kanunu), Suudi Kişisel Verilerin Korunması Kanunu ve yönetmelikleri, Brezilya LGPD'si ile Mısır'ın 2020 tarihli 151 sayılı Kanunu ve Uygulama Yönetmeliği dahil olmak üzere işlemeye uygulanan mevzuat.
• "Veri sorumlusu", "veri işleyen", "ilgili kişi" ve "işleme" terimleri Veri Koruma Mevzuatındaki anlamları taşır. "Veri işleyen", LGPD kapsamındaki "operador"u da kapsar.

1. Müşteri Kişisel Verilerinin veri sorumlusu (veya başka bir veri sorumlusu adına hareket eden veri işleyen) sizsiniz; biz ise veri işleyeniz.
2. Müşteri Kişisel Verilerini, başka ülkelere aktarımlar da dahil olmak üzere yalnızca belgelenmiş talimatlarınız doğrultusunda işleriz. Talimatlarınız; Şartlar ve Koşullar, bu DPA, panelde seçtiğiniz ayarlar (kanallar, entegrasyonlar, yapay zekâ özellikleri ve saklama süreleri gibi) ve üzerinde mutabık kaldığımız diğer yazılı talimatlardır.
3. Bir kanun, Müşteri Kişisel Verilerini talimatlarınız dışında işlememizi gerektirirse, ilgili kanun bunu yasaklamadığı sürece, bunu yapmadan önce sizi bilgilendiririz.
4. Bir talimatın Veri Koruma Mevzuatını ihlal ettiğini düşünürsek sizi derhâl bilgilendiririz.
5. Verilerin hukuka uygun şekilde toplanmasından ve Meta'nın veya kanunun gerektirdiği her türlü onay dahil, kişilerinize mesaj göndermek için hukuki bir dayanağa sahip olmaktan siz sorumlusunuz.
6. Müşteri Kişisel Verilerini kendi amaçlarımız için kullanmayız, satmayız ve yapay zekâ modellerini eğitmek için kullanmayız.

Müşteri Kişisel Verilerine yalnızca hizmeti sunmak, desteklemek veya güvence altına almak için erişmesi gereken çalışanlar ve yükleniciler erişebilir ve bunların tamamı gizlilik yükümlülüğü altındadır.

Müşteri Kişisel Verilerine erişimi olan kişiler, talimatlarımız doğrultusunda ve bu DPA'dan daha az koruyucu olmayan koşullarla, ağırlıklı olarak Mısır'da, iştirakimiz Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م) aracılığıyla çalışmaktadır.

Ek II'deki teknik ve idari tedbirleri uygular, bunları düzenli olarak gözden geçirir ve aboneliğiniz süresince genel koruma düzeyini düşürmeyiz.

Buna ek olarak şunları taahhüt ederiz:

• çalışma alanı veritabanlarının şifreli yedekleri: ücretli, deneme ve ücretsiz tanımlanmış çalışma alanları için her gece, diğer çalışma alanları için 10 günlük rotasyonla; ayrıca merkezi hesap veritabanının günlük yedeği. Yedekler, üretim sunucusundan ayrı olarak, Amerika Birleşik Devletleri'ndeki (us-east1) Google Cloud üzerinde özel depolamada 30 gün süreyle tutulur ve ardından silinir;
• sohbetlerde paylaşılan medya dosyaları, göz atılamayan veya listelenemeyen bir depolamada tutulur ve tahmin edilmesi zor, uzun ve rastgele bağlantılar üzerinden sunulur (kişi profil fotoğrafları hariç). Tam bağlantıya sahip herkes dosyayı açabilir. Medyayı süre sınırlı imzalı bağlantılara taşımaktayız;
• bir çalışma alanına yapılan her destek girişini ve her oturum açmayı o çalışma alanının güvenlik günlüğüne kaydetmek.

1. Genel yetkilendirme. Alt işleyenler sayfamızda (Ek III) listelenen alt işleyenleri görevlendirmemize yetki verirsiniz.
2. Önceden bildirim. Bir alt işleyeni eklemeden veya değiştirmeden önce, abone olan herkese e-posta göndererek ve sayfayı güncelleyerek en az 30 gün önceden bildirimde bulunuruz. Abone olmak için "Subprocessor updates" konu satırıyla support@letsbot.net adresine yazın.
3. İtiraz. Bildirim süresi içinde, makul veri koruma gerekçelerine dayanarak yazılı olarak itiraz edebilirsiniz. İtirazınızı, örneğin söz konusu alt işleyeni verileriniz için kullanmayarak çözmeye çalışırız. Çözemezsek, hizmetin etkilenen kısmını feshedebilir ve kalan süreye ilişkin önceden ödenmiş ücretlerin iadesini alabilirsiniz.
4. Acil değişiklik. Hizmetin güvenliğini veya sürekliliğini korumak için bir alt işleyeni derhâl değiştirmemiz gerekirse, sizi mümkün olan en kısa sürede bilgilendiririz ve aynı itiraz hakkınız saklı kalır.
5. Eşdeğer yükümlülükler. Her üçüncü taraf alt işleyeni, bu DPA'dan daha az koruyucu olmayan veri koruma yükümlülükleri içeren yazılı bir sözleşmeyle bağlarız ve onun performansından size karşı sorumlu olmaya devam ederiz.
6. Sizin seçtiğiniz entegrasyonlar, örneğin Meta (WhatsApp, Messenger, Instagram), e-ticaret platformları ve CRM'ler, alt işleyenlerimiz değildir. Bunları siz bağlarsınız ve verileri sizinle aralarındaki kendi koşulları çerçevesinde işlerler.

1. Müşteri Kişisel Verilerini etkileyen herhangi bir Kişisel Veri İhlalini gereksiz gecikme olmaksızın ve her hâlükârda ihlalden haberdar olduğumuz andan itibaren 24 saat içinde size bildiririz. Bu, her ülkedeki standardımızdır.
2. Bildirimi hesap sahibinin e-posta adresine ve mümkün olduğunda panel üzerinden göndeririz. Bilgilerin mevcut olduğu ölçüde bildirim şunları açıklar: ihlalin niteliği ve nedeni; ilgili kişilerin ve kayıtların kategorileri ile yaklaşık sayısı; olası sonuçlar; ihlali sınırlamak için alınan veya önerilen tedbirler; ve iletişim noktamız.
3. Tüm bilgilere aynı anda sahip değilsek, bunları gereksiz gecikme olmaksızın aşamalı olarak sağlar ve olay kapanana kadar sizi düzenli olarak bilgilendiririz.
4. AB, Birleşik Krallık ve Suudi Arabistan'daki 72 saatlik süreler ve Brezilya'daki üç iş günlük süre dahil olmak üzere, yetkili makamlara ve ilgili kişilere bildirimde bulunma yükümlülüklerinizi yerine getirmenize yardımcı oluruz.
5. Bir bildirim, kusur veya sorumluluk kabulü anlamına gelmez.

1. Müşteri Kişisel Verileriyle ilgili olarak bir ilgili kişiden talep almamız hâlinde, bu talebi 48 saat içinde size iletiriz ve talebi size ilettiğimizi belirtmek dışında, yetkiniz olmadan yanıtlamayız.
2. Panel, kişileri, sohbetleri ve mesajları dışa aktarmanıza, düzeltmenize ve silmenize olanak tanır. Bu araçların yeterli olmadığı durumlarda size makul ölçüde yardımcı oluruz.
3. Yardımımız, Mısır'daki altı iş günü dahil olmak üzere yasal sürelerinizi dikkate alır.

Veri koruma etki değerlendirmesi, aktarım risk değerlendirmesi veya bir makamla ön istişare yürütmeniz için makul olarak ihtiyaç duyduğunuz bilgileri size sağlarız. Kanunun ilgili etki değerlendirmesini bizimle paylaşmanızı gerektirdiği durumlarda, bu değerlendirmeyi teslim alırız.

1. Aboneliğiniz süresince dilediğiniz zaman verilerinizi dışa aktarabilir, herhangi bir sohbeti tek tek silebilir (bu işlem mesajlarını ve medyasını siler) veya çalışma alanınızın tamamını panelden silebilirsiniz. Gerekçe belirtmek isteğe bağlıdır.
2. Hizmet sona erdiğinde, verileriniz 30 gün boyunca dışa aktarılabilir durumda kalır. Bir çalışma alanı silindiğinde, medya, arşivlenmiş kopya, yapay zekâ sağlayıcımızda tutulan dosyalar ve saklanan yanıtlar ile QR kod bağlantı hizmetimizde tutulan mesajlar dahil olmak üzere Müşteri Kişisel Verilerini 30 gün içinde canlı sistemlerimizden sileriz. Yedeklerdeki kopyalar ilave 30 gün içinde sona erer.
3. Yalnızca kanunun saklamamızı gerektirdiği verileri saklar ve silinene kadar bunları bu DPA kapsamında korumaya devam ederiz.
4. Talep hâlinde silme işlemini yazılı olarak teyit ederiz.

1. Bu DPA'ya uyumumuzu göstermek için gereken bilgileri sağlar ve makul güvenlik anketlerini yanıtlarız.
2. Bu bilgiler yeterli değilse, siz veya gizlilik yükümlülüğü altındaki bağımsız bir denetçi, 30 gün önceden bildirimde bulunarak, mesai saatleri içinde ve diğer müşterilerin verilerini riske atmadan, her 12 ayda bir bizi denetleyebilirsiniz. Bu sınır, bir Kişisel Veri İhlalinden sonra veya denetimin bir makam tarafından istenmesi hâlinde uygulanmaz.
3. Denetim tarafımızca önemli bir ihlali ortaya çıkarmadıkça her taraf kendi masraflarını üstlenir.
4. Suudi Veri ve Yapay Zekâ Otoritesi (SDAIA) dahil olmak üzere yetkili denetim makamlarıyla, talep ettiklerinde iş birliği yaparız.

1. Verilerin işlendiği yer. Müşteri Kişisel Verileri Amerika Birleşik Devletleri'nde (us-east1 bölgesi) Google Cloud üzerinde barındırılır, ağırlıklı olarak Mısır'da iştirakimiz aracılığıyla çalışan personelimiz tarafından uzaktan erişilir ve alt işleyenler tarafından ilgili sayfada gösterilen konumlarda işlenir. Tüm sunucularımız ve yedeklerimiz Amerika Birleşik Devletleri'ndedir; başka hiçbir bölgede barındırma sunmayız.
2. Aktarım mekanizmaları. Ek IV (AB ve Birleşik Krallık), Ek V (Brezilya) ve Ek VI'daki (Suudi Arabistan) hükümler her müşteri için bu DPA'nın bir parçasını oluşturur ve ilgili kanunun uygulandığı her aktarımı düzenler.
3. Tabi olduğumuz yabancı mevzuat. Birleşik Krallık hukukuna tabi bir Birleşik Krallık şirketiyiz. Veriler bir ABD sağlayıcısında barındırılır ve ABD makamları, CLOUD Act ve Yabancı İstihbarat Gözetleme Kanunu'nun (Foreign Intelligence Surveillance Act) 702. Maddesi dahil olmak üzere ABD hukuku uyarınca ABD sağlayıcılarından verilerin ifşa edilmesini talep edebilir. Mısır'daki iştirakimiz Mısır hukukuna tabidir. Bu kanunlardan herhangi birinin bu DPA'yı yerine getirmemizi engellediğinden haberdar değiliz ve bu durum değişirse sizi derhâl bilgilendiririz.
4. Kamu makamlarından gelen talepler. Bir kamu makamından Müşteri Kişisel Verilerinin ifşa edilmesine yönelik bağlayıcı bir talep almamız hâlinde, kanun yasaklamadığı sürece sizi bilgilendirir, makamdan size başvurmasını ister, hukuka aykırı veya aşırı talepleri itiraz yoluyla sorgular ve yalnızca gereken asgari bilgiyi ifşa ederiz.

1. Yapay zekâ yanıtlarını, yapay zekâ temsilcilerini, sesli not transkripsiyonunu veya yapay zekâ araçlarını açtığınızda, özelliğin ihtiyaç duyduğu verileri, Amerika Birleşik Devletleri'ndeki alt işleyenlerimiz olan yapay zekâ hizmet sağlayıcılarımızdan birine göndeririz: mesajlar, sohbet geçmişi, sesli notlar, bilgi dosyaları ve ürün kataloğu ile özelliğin kullandığı durumlarda kişinin adı ve numarası.
2. Yapay zekâ hizmet sağlayıcılarımız şunlardır: varsayılan sağlayıcı olan ve sesli not transkripsiyonu ile bilgi dosyalarının saklanması ve aranmasını her zaman üstlenen OpenAI; ve yapay zekâ görevlerini OpenAI yerine veya yedek olarak yönlendirebileceğimiz ya da yanıtların kalitesini karşılaştırmak için sınırlı bir talep örneği gönderebileceğimiz Anthropic (Claude) ve Google (Gemini API). Karşılaştırma yanıtları hiçbir zaman müşterilerinize gönderilmez. Liste ve aktarım mekanizmaları alt işleyenler sayfamızda yer almaktadır.
3. Ticari koşulları gereği bu sağlayıcıların hiçbiri, API'si üzerinden gönderilen verileri modellerini eğitmek için kullanmaz (bkz. OpenAI'ın iş koşulları, Anthropic'in Ticari Koşulları ve Gemini API Ek Koşulları) ve biz de herhangi bir eğitim kullanımına onay vermedik. Her sağlayıcı, kendi koşulları uyarınca kötüye kullanım izlemesi için geçici bir kopya tutar ve OpenAI, ürettiği yanıtları API veri politikası kapsamında saklar.
4. Müşteri Kişisel Verilerini herhangi bir modeli eğitmek için kullanmayız. "Geçmişten öğren" özelliğinin öğrendikleri çalışma alanınızın içinde kalır.
5. Bu özellikler isteğe bağlıdır ve istediğiniz zaman kapatabilirsiniz. Çalışma alanınızı sildiğinizde, onun için OpenAI'da saklanan dosyaları sileriz.
6. Kanunun gerektirdiği durumlarda, yanıtların yapay zekâ tarafından üretilebileceğini müşterilerinize bildirmek sizin sorumluluğunuzdadır.

1. Destek personelimiz çalışma alanınıza yalnızca destek sağlamak amacıyla girer.
2. Her giriş, inceleyebileceğiniz çalışma alanı güvenlik günlüğüne kaydedilir.
3. Çalışma alanınız için iki faktörlü kimlik doğrulamayı açarsanız, personelimiz yalnızca açık onayınızla giriş yapabilir.

Tarafların bu DPA kapsamındaki sorumluluğu, kanunen sınırlandırılamayan sorumluluk hariç olmak üzere Şartlar ve Koşullar'daki sınırlamalara tabidir; bu durum, ilgili kişilerin Ek IV ila VI'daki aktarım hükümleri kapsamındaki haklarını etkilemez ve bu DPA'daki veya Şartlar ve Koşullar'daki hiçbir hüküm bu hakları sınırlamaz.

1. Bu DPA, Müşteri Kişisel Verilerini işlediğimiz sürece geçerlidir.
2. Bu DPA'yı mevzuata veya hizmete uyum sağlamak için güncelleyebiliriz. Önemli değişiklikleri 30 gün önceden bildiririz ve hiçbir değişiklik, ücretli abonelik süreniz boyunca koruma düzeyini düşürmez.
3. Bu DPA İngiltere ve Galler hukukuna tabidir ve bu ülkenin mahkemeleri yetkilidir; ancak Ek IV ila VI'daki her aktarım hükümleri seti, kendisinde belirtilen hukuka ve mahkemelere tabidir.

Kişisel Verilerin Korunması Kanunu ve Uygulama Yönetmeliği (Madde 17) bakımından:

• İşlemenin amacı, veri kategorileri ve süresi Ek I'de yer almaktadır.
• Bir ihlali size gereksiz gecikme olmaksızın ve 24 saat içinde bildiririz (bölüm 7).
• Tabi olduğumuz yabancı mevzuat ve etkileri bölüm 12'de açıklanmıştır.
• Suudi hukuku bir ifşa yapmamızı gerektirirse, bunu size bildiririz.
• Alt işleyenler ve diğer alıcılar Ek III'te belirtilmiştir; herhangi bir değişiklikten önce, itiraz hakkıyla birlikte sizi bilgilendiririz (bölüm 6).
• İlgili kişi taleplerini 48 saat içinde iletiriz (bölüm 8) ve değerlendirmeleri ve denetimleri kabul ederiz (bölüm 11).
• Aktarım hükümleri: Ek VI.

LGPD bakımından "operador" sıfatıyla hareket ederiz:

• Verileri talimatlarınız doğrultusunda işler (Madde 39) ve işleme faaliyetlerinin kaydını tutarız (Madde 37).
• Ek II'deki güvenlik tedbirlerini uygularız ve güvenlik yükümlülüğümüz işleme sona erdikten sonra da devam eder (Madde 46 ve 47).
• ANPD'ye ve ilgili kişilere üç iş günü içinde bildirimde bulunabilmeniz için bir ihlali size 24 saat içinde bildiririz (Madde 48).
• İşleme sona erdiğinde verileri bölüm 10 uyarınca sileriz (Madde 16).
• Bu DPA'daki hiçbir hüküm, LGPD'nin öngördüğü durumlarda ilgili kişilere karşı sorumluluğumuzu sınırlamaz.
• Aktarım hükümleri: Ek V. Talep hâlinde, müşterileriniz için yayımlayabileceğiniz, uluslararası aktarıma ilişkin Portekizce bir özet sağlarız.

2020 tarihli ve 151 sayılı Kanun ile Uygulama Yönetmeliği bakımından:

• Mısır'daki iştirakimiz, Bot for Digital Solutions LLC'dir («بوت للحلول الرقمية» ش.ذ.م.م), ticaret sicil no. 223572 (Kahire Yatırım sicil ofisi), Tower 22, 3. kat, Masaken Sidi Abdel Rahim, Seger, Tanta 1st, Gharbia, Mısır.
• İşleme faaliyetlerimiz ve sınır ötesi aktarımlarımız için kanunun gerektirdiği her türlü lisans veya izni, bunlara dayanmadan önce alırız ve Kişisel Verileri Koruma Merkezi'ne kayıtlı bir veri koruma görevlisi atarız.
• Size 24 saat içinde yaptığımız bildirime ek olarak, kanunun işleyen sıfatıyla bizden bunu gerektirdiği durumlarda, bir ihlali sizinle koordinasyon içinde 72 saat içinde Kişisel Verileri Koruma Merkezi'ne bildiririz.
• İlgili kişi taleplerini altı iş günü içinde yanıtlamak için sizinle birlikte çalışırız.
• Mısır dışına aktarımlara verilecek rıza da dahil olmak üzere, kanunun gerektirdiği durumlarda ilgili kişilerin rızasını almaktan siz sorumlusunuz.

Bu VİS, AB GDPR ve UK GDPR'ın 28(3). maddesinin gerektirdiği hükümleri içerir: talimatlar (3. bölüm), gizlilik (4. bölüm), güvenlik (5. bölüm ve Ek II), alt işleyenler (6. bölüm), ilgili kişi taleplerine (8. bölüm) ve güvenlik, ihlaller ve değerlendirmelere (5, 7 ve 9. bölümler) ilişkin yardım, silme ve iade (10. bölüm) ile bilgi ve denetimler (11. bölüm).

Kurulu olduğumuz Birleşik Krallık, Avrupa Komisyonu'nun bir yeterlilik kararı kapsamındadır. Buna rağmen Ek IV (AB Standart Sözleşme Hükümleri ve Birleşik Krallık Eki) her müşteri için sözleşmeye dahil edilmiştir ve Amerika Birleşik Devletleri'ne yaptığımız sonraki aktarımlar da dahil olmak üzere, AB GDPR veya UK GDPR'ın başka şekilde izin vermediği her Müşteri Kişisel Verisi aktarımına uygulanır.

Bu tedbirler bugün itibarıyla uygulanmaktadır:

• Aktarım sırasında şifreleme: Cloudflare uç noktasında HSTS ile TLS 1.3 ve kaynak sunucuda TLS sertifikaları.
• Depolamada şifreleme: diskler ve depolama alanları (bucket) için Google tarafından yönetilen anahtarlarla Google Cloud varsayılan şifrelemesi; buna ek olarak kanal erişim belirteçleri, entegrasyon ve webhook gizli anahtarları, iki faktörlü doğrulama gizli anahtarları, anket yanıtları ve rıza kayıtları için uygulama düzeyinde şifreleme.
• Parolalar ve belirteçler: parolalar bcrypt ile özetlenir (hash); API belirteçleri özet olarak saklanır.
• Yalıtım: her çalışma alanı için ayrı bir veritabanı.
• Ağ: veritabanlarına ve önbelleklere internetten erişilemez; Cloudflare DDoS koruması ve web uygulaması güvenlik duvarı; herkese açık formlarda Turnstile bot koruması.
• Sunucu sıkılaştırma: CageFS hesap yalıtımı, Imunify360 güvenlik duvarı ve kötü amaçlı yazılım taraması ve canlı çekirdek güvenlik yamaları (KernelCare).
• Erişim kontrolü: kullanıcı bazında roller ve yetkiler, dahili yönetim araçları için ayrı bir oturum açma koruması, her çalışma alanında kullanılabilen iki faktörlü doğrulama ve oturum açma IP kısıtlamaları.
• Kayıt tutma: her çalışma alanı için oturum açmaları ve başarısız denemeleri, iki faktörlü doğrulama ve rol değişikliklerini, destek erişimini ve API anahtarı yenilemelerini kapsayan bir güvenlik günlüğü.
• Entegrasyonlar: Meta, Salla ve Zid'den gelen verilerde imza doğrulaması ve her yeni giden webhook için ayrı bir imzalama gizli anahtarı.
• Özel depolama: belgeler, e-posta ekleri, arama kayıtları, yedekler ve arşivlenmiş çalışma alanları, herkese açık erişimin engellendiği özel depolama alanlarında tutulur.
• Sohbet medyası: göz atılamayan veya listelenemeyen bir depolamada tutulur ve tahmin edilmesi zor, uzun ve rastgele bağlantılar üzerinden sunulur (kişi profil fotoğrafları hariç); süreli imzalı bağlantılara geçiş devam etmektedir.
• Yedekler: ücretli, deneme ve ücretsiz tanımlanmış çalışma alanlarının veritabanlarının her gece yedeklenmesi, diğer çalışma alanları için 10 günlük rotasyon ve merkezi hesap veritabanının günlük yedeği; Amerika Birleşik Devletleri'nde (us-east1) özel depolamada 30 gün boyunca saklanır.
• Silme: her müşteri, medyası, arşiv kopyası ve OpenAI'daki yapay zekâ dosyaları dahil olmak üzere çalışma alanının tamamını panelden silebilir; bir sohbetin silinmesi, mesajlarını ve medyasını kalıcı olarak siler.
• Veri minimizasyonu: varsayılan olarak, platformlardan gelen veri paketleri 14 gün, sunucu günlükleri 14 gün, arama kayıtları ise 90 gün sonra silinir.
• İzleme: harici çalışma süresi izlemesi ile bellek, veritabanları, oturumlar ve kuyrukların anlık uyarılarla dahili olarak izlenmesi; bu uyarılarda telefon numaraları ve e-posta adresleri maskelenir.

Alt işleyenlerin güncel listesi, işledikleri veriler, konumları ve aktarım güvenceleriyle birlikte alt işleyenler sayfamızda yayımlanır ve bu VİS'in bir parçasını oluşturur.

2021/914 sayılı (AB) Komisyon Uygulama Kararı ile kabul edilen Standart Sözleşme Hükümleri atıf yoluyla sözleşmeye dahil edilmiştir:

• Veri sorumlusu olduğunuz durumlarda Modül İki (veri sorumlusundan işleyene), başka biri adına işleyen olarak hareket ettiğiniz durumlarda Modül Üç (işleyenden işleyene).
• Madde 7 (katılım hükmü): dahildir.
• Madde 9(a): Seçenek 2 (genel yazılı yetkilendirme), 30 gün önceden bildirim ile.
• Madde 11(a): isteğe bağlı ifade uygulanmaz.
• Madde 13: yetkili denetim makamı, durumunuza göre Madde 13(a) uyarınca belirlenir.
• Madde 17: Seçenek 1, İrlanda hukukuna tabidir. Madde 18: İrlanda mahkemeleri.
• Ek I.A: 1. bölümdeki taraflar (veri ihracatçısı olarak siz, veri ithalatçısı olarak biz). Ek I.B: bu VİS'in Ek I'i. Ek I.C: Madde 13 uyarınca belirlenen şekilde. Ek II: bu VİS'in Ek II'si. Ek III: bu VİS'in Ek III'ü.

Birleşik Krallık hukukuna tabi aktarımlar için ICO'nun AB Standart Sözleşme Hükümlerine Uluslararası Veri Aktarımı Eki atıf yoluyla dahil edilmiştir: Tablo 1, yukarıdaki taraflar; Tablo 2, yukarıda seçilen hükümler; Tablo 3, Ek I ila III; Tablo 4, taraflardan her biri Eki, Ekin 19. Bölümünde belirtildiği şekilde sona erdirebilir.

LGPD'ye tabi uluslararası veri aktarımları için taraflar, Hüküm ve Koşulları kabul ederek CD/ANPD No. 19/2024 sayılı Kararın Ek II'sindeki standart sözleşme hükümlerini eksiksiz ve hiçbir değişiklik yapmadan benimser. Resmî Portekizce metin esas alınır.

• Bölüm I: siz ihracatçısınız (veri sorumlusu), biz ithalatçıyız (işleyen); aktarım Ek I'de tanımlanmıştır.
• Bölüm III (güvenlik tedbirleri): Ek II.
• Bölüm IV: ek hüküm yoktur.

Bu VİS'in veya Hüküm ve Koşulların hiçbir hükmü bu hükümleri hariç tutamaz, değiştiremez veya bunlarla çelişemez.

Kişisel verilerin Krallık dışına aktarımı için taraflar, Hüküm ve Koşulları kabul ederek Suudi Veri ve Yapay Zekâ Otoritesi (SDAIA) tarafından yayımlanan Kişisel Veri Aktarımına İlişkin Standart Sözleşme Hükümlerini, Şablon 2 (veri sorumlusundan işleyene), değişiklik yapmadan benimser.

• Taraflar: siz ihracatçısınız, biz ithalatçıyız.
• Şablonun 1 ila 3. Ekleri: bu VİS'in 1. bölümü, Ek I'i ve Ek II'si.
• Bu hükümler, hükümlerde öngörüldüğü üzere Suudi Arabistan Krallığı kanunlarına tabidir ve Krallık mahkemeleri yetkilidir.
• Bir ihlali size 24 saat içinde bildirir, ilgili kişi taleplerini 48 saat içinde iletir ve her türlü denetimde SDAIA ile iş birliği yaparız.
• Krallık dışındaki hangi alt işleyenlerin bu hükümlere katıldığını ve hangilerinin katılmadığını, verileriniz için onlara dayanmadan önce size bildiririz.